GoPlus: ListaDAO ліквідний стейкінг-пул був атакований, зловмисник скористався логічною вразливістю для крадіжки коштів

За інформацією ChainCatcher, GoPlus Security опублікувала аналіз, у якому йдеться про атаку на контракт Liquid Staking Vault від ListaDAO через недоліки бізнес-логіки. Під час переказу певних токенів зловмисник активував функцію обчислення частки у контракті Dividend, що вплинуло на логіку отримання винагород у стейкінговому сховищі, в результаті чого з контракту було викрадено значні активи.

GoPlus Security наголошує, що ця логічна уразливість присутня як у контракті Liquid Staking Vault, так і в Dividend, тому всі форки та повторне використання цієї реалізації супроводжуються високим ризиком експлуатації. Розробникам і проєктам настійно рекомендується перевірити та відповідно виправити уразливість. Безпека смарт-контрактів не повинна базуватися лише на "одноразовому аудиті".